Katalog podatności CVE

Brak wywołania metody zmiany identyfikatora sesji po powiązaniu sesji w Apache Wicket może być wykorzystany do ataku typu session fixation.

Podatność przepełnienia bufora sterty w module mod_proxy_ajp serwera Apache HTTP Server. Jeśli mod_proxy_ajp łączy się ze złośliwym serwerem AJP, serwer ten może wysłać złośliwą wiadomość AJP, powodując zapis 4 bajtów kontrolowanych przez atakującego poza koniec bufora sterty.

CoreDNS w wersjach przed 1.14.3 nieprawidłowo obsługuje uwierzytelnianie TSIG w transportach gRPC, QUIC, DoH i DoH3. W przypadku gRPC i QUIC serwer sprawdza tylko nazwę klucza TSIG, ale nie weryfikuje HMAC, przez co każde żądanie z pasującą nazwą klucza jest uznawane za uwierzytelnione. W przypadku DoH i DoH3 problem jest poważniejszy – serwer w ogóle nie sprawdza rekordu TSIG, więc każde żądanie z TSIG jest traktowane jako uwierzytelnione.

Masa CMS w wersjach 7.2.0-7.2.9, 7.3.0-7.3.14, 7.4.0-7.4.9 i 7.5.0-7.5.2 zawiera podatność na wstrzykiwanie SQL w nieuwierzytelnionym interfejsie JSON API. Parametr altTable jest wstrzykiwany bezpośrednio do klauzuli FROM zapytania SQL, co pozwala nieuwierzytelnionemu atakującemu na odczyt wrażliwych danych z dowolnej tabeli.

Masa CMS to system zarządzania treścią open source. W wersjach 7.2.0 do 7.2.9, 7.3.0 do 7.3.14, 7.4.0 do 7.4.9 i 7.5.0 do 7.5.2 istnieje luka SQL injection w komponencie beanFeed.cfc w funkcji getQuery przy obsłudze parametru sortDirection. Wartość parametru jest konkatenowana bezpośrednio do zapytań SQL bez sanityzacji lub parametryzacji. Nieuwierzytelniony zdalny atakujący może to wykorzystać do wyodrębnienia wrażliwych informacji, modyfikacji lub usunięcia rekordów bazy danych, lub potencjalnie do zdalnego wykonania kodu na serwerze bazy danych.

Masa CMS to system zarządzania treścią open source. W wersjach 7.5.2 i wcześniejszych istnieje podatność na iniekcję SQL w komponencie beanFeed.cfc w funkcji getQuery podczas przetwarzania parametru sortBy. Aplikacja nie czyści ani nie parametryzuje tego wejścia przed użyciem w dynamicznych zapytaniach SQL. Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia SQL w bazie danych, potencjalnie uzyskując dostęp do wrażliwych danych, modyfikując lub usuwając rekordy, lub eskalując uprawnienia do poziomu administracyjnego. Problem został naprawiony w wersjach 7.2.10, 7.3.15, 7.4.10 i 7.5.3. Obejściem jest skonfigurowanie reguł WAF blokujących złośliwe wzorce SQL w parametrze sortBy wysyłanym do beanFeed.cfc.

PhpSpreadsheet w wielu wersjach (do 1.30.2, 2.0.0-2.1.14, 2.2.0-2.4.3, 3.3.0-3.10.3, 4.0.0-5.5.0) jest podatny na zdalne wykonanie kodu (RCE) poprzez kontrolowany przez użytkownika argument filename w IOFactory::load(). Atakujący może podać ścieżkę strumienia PHP (np. phar://, ftp://, ssh2.sftp://), która przechodzi kontrolę is_file() w File::assertFile(). Wrapper phar:// wyzwala deserializację metadanych PHAR, co może prowadzić do RCE, jeśli dostępny jest odpowiedni gadżet.

Router D-Link DI-8100 w wersji 16.07.26A1 zawiera podatność na przepełnienie bufora w funkcji url_rule_asp pliku /url_rule.asp w komponencie POST Parameter Handler. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Kestra w wersji 1.3.3 i wcześniejszych jest podatna na wstrzykiwanie SQL. Podatność wynika z bezpośredniego konkatenowania danych wejściowych użytkownika z parametru GET do zapytania SQL bez odpowiedniego oczyszczania lub parametryzacji.

W OpenCTI, w wersjach od 6.6.0 do 6.9.12, występuje podatność na eskalację uprawnień, która może być wykorzystana przez nieautoryzowanych atakujących do zapytań do API jako dowolny istniejący użytkownik, w tym domyślne konto administratora.

W routerze D-Link DI-8100 w wersji 16.07.26A1 stwierdzono podatność na przepełnienie bufora w funkcji sprintf w pliku /auto_reboot.asp. Manipulacja argumentami enable/time może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony.

ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.

OpenCMS w wersji 20 i wcześniejszych jest podatny na atak XML External Entity (XXE) w funkcji Admin Import DB z powodu niebezpiecznego parsowania XML dostarczonych przez użytkownika plików .zip zawierających manifest.xml.

W wersjach Eclipse BaSyx Java Server SDK przed 2.0.0-milestone-10 występuje niewłaściwa normalizacja ścieżek w API HTTP Submodel, co pozwala nieautoryzowanemu zdalnemu atakującemu na przeprowadzenie ataku typu path traversal. Atakujący może dostarczyć złośliwie skonstruowany parametr fileName podczas operacji przesyłania plików, co umożliwia zapisanie dowolnych plików w systemie plików hosta.

W jądrze systemu Linux zidentyfikowano podatność związana z odczytem poza granicami (OOB) w dentry_hashtable, gdy użytkownik ustawia 'dhash_entries=1'. Problem ten prowadzi do błędu strony w trybie jądra, co może skutkować nieprzewidzianym dostępem do pamięci.

W jądrze Linux w systemie plików ext4 podczas wyszukiwania bloków dla plików mapowanych pośrednio (indirect block mapped) mogło dojść do przekroczenia zakresu numerów bloków 32-bitowych. Problem występuje, gdy ac->ac_g_ex.fe_group jest większe lub równe ngroups, co może prowadzić do alokacji bloków spoza obsługiwanego zakresu. Dodano zabezpieczające ograniczenie (clamp) w ext4_mb_scan_groups().

Wykryto podatność w EFM ipTIME NAS1dual 1.5.24, która dotyczy funkcji get_csrf_whites w pliku /cgi/advanced/misc_main.cgi. Manipulacja tą funkcją prowadzi do przepełnienia bufora na stosie.

W serwerze WWW GoAhead na urządzeniach MeiG Smart FORGE_SLT711 (oprogramowanie MDM9607.LE.1.0-00110-STD.PROD-1) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego bez uwierzytelniania. Atak jest możliwy przez endpoint /action/SetRemoteAccessCfg.

W systemie Gambio w wersji 4.9.2.0 odkryto problem, który pozwala na ominięcie funkcji resetowania hasła, umożliwiając ustawienie dowolnych haseł dla dowolnych kont, jeśli znany jest identyfikator konta.

Wersje OpenClaw 2026.4.7 przed 2026.4.14 zawierają podatność na eskalację uprawnień, w której logika obniżania uprawnień właściciela pomija zdarzenia webhook wake zawierające nieufne treści. Atakujący mogą wykorzystać tę lukę, wysyłając nieufne zdarzenia webhook wake, aby zachować kontekst wykonania podobny do właściciela, gdy powinno nastąpić obniżenie uprawnień.